Court acquits defendant on computer data deletion charge but reduces prison sentence to 12 months with probation.

Arrêt N°342/12 X

du 27 juin 2012

not 2285/09/CD

La Cour d'appel du Grand-Duché de Luxembourg, dixième chambre, siégeant en

matière correctionnelle, a rendu en son audience publique du vingt-sept juin deux

mille douze l’arrêt qui suit dans la cause

e n t r e :

le ministère public, exerçant l'action publique pour la répression des crimes et

délits, appelant

e t :

X.), né le (…) à (…), demeurant à L-(…), (…),

prévenu, appelant

__________________________________________________________________

F A I T S :

Les faits et rétroactes de l'affaire résultent à suffisance de droit d'un jugement

rendu contradictoirement par une chambre correctionnelle du tribunal

d'arrondissement de et à Luxembourg le 15 juin 2011 sous le numéro

2025/2011, dont les considérants et le dispositif sont conçus comme suit :

Vu l’arrêt n°836/10 du 23 novembre 2010 confirmant l’ordonnance n°1897/10 de la Chambre du Conseil du Tribunal

d’arrondissement de et à Luxembourg du 22 septembre 2010 et renvoyant X.) du chef d’infractions aux articles 458, 509-

1 et 509-3 du Code pénal et du chef d’infractions à la loi du 2 août 2002 relative à la protection des personnes à l’égard du

traitement des données à caractère personnel devant une chambre correctionnelle de ce même Tribunal.

Vu la citation du 28 mars 2011 régulièrement notifiée au prévenu.

Vu l’ensemble du dossier répressif constitué par le Parquet sous la notice n° 2285/09/CD.

Vu l’instruction judiciaire diligentée par le juge d’instruction.

Les faits :

L'examen du dossier répressif, ensemble les dépositions des témoins entendus à l’audience et les débats menés en

audience ont permis de dégager ce qui suit:

Le 28 janvier 2009, vers 15.15 heures les enquêteurs Marcel WEIS et Christian KIEFFER, affectés au Service de Police

Judiciaire, Section « Criminalité Générale », furent informés par leur collègue de travail X.) que son ami A.) l’aurait dès

l’ingrès informé vers 13.45 heures que B.), dit B’.), qu’il qualifia d’escroc, avait probablement été enlevé par des gens

d’affaires allemands. Après avoir informé le Ministère Public de ces faits, les enquêteurs Christian KIEFFER et Marcel

WEIS, chargés de l’enquête par le substitut de service, se rendirent vers 16.45 heures au domicile de B’.) à (…), l’y

trouvèrent et l’emmenèrent au bureau de police aux fins d’audition.

L’audition de ce dernier et l’enquête subséquente a relevé qu’il avait été enlevé par C.) et D.), deux commerçants

allemands dans la mesure où il avait commandé et reçu de la part de C.) des moteurs et des parapentes pour

approximativement 15.000 euros, qu’il n’avait pas, malgré plusieures injonctions lui envoyées par mail par C.), réglé le

prédit montant, de sorte que les deux Allemands se sont rendus au domicile de B’.) et l’ont contraint à leur remettre le

matériel en question. Ce matériel se trouvait en partie chez A.) à (…) chez E.) au (…) et dans la cave de la résidence

habitée par B’.).

Lors de son audition policière, B’.) invoqua le nom X.), un policier au sein du Service de Police Judiciaire, qui n’avait jusque

là pas été mentionné par les enquêteurs, tout en déclarant détenir des informations intéressantes sur sa personne, informations

qui ne seraient cependant pas liées à l’affaire de son enlèvement.

Comme non seulement B’.) soutint détenir des informations concernant X.) mais que les enquêteurs étaient dès le début

étonnés sur le comportement étrange d’X.), qui, informé à 13.07 heures d’une séquestration ayant eu lieu au détriment de

B’.), avait mis plus de deux heures pour les en informer. En plus, lorsqu’il leur a raconté que B’.) avait été enlevé, sa

préoccupation principale n’était pas le sort de ce dernier comme le témoigne d’ailleurs le fait qu’il avait envoyé son ami A.)

au commissariat de police de Diekirch non pas pour informer les policiers que B’.) s’était fait kidnapper, mais pour déposer

plainte contre lui, mais par contre le sort de toutes les victimes qui s’étaient, selon lui, fait escroquer par B’.). Il avait en effet

tenté de joindre plusieures victimes pour les inciter à déposer plainte contre B’.) avant d’informer ses collègues de travail de

l’enlèvement. Il ne cacha non plus son mépris concernant B’.) en précisant incessamment aux enquêteurs WEIS et KIEFER

détenir des éléments contre B’.) prouvant qu’il s’agirait d’un escroc qu’il faudrait nécessairement mettre en prison.

Le Ministère Public, informé de ces éléments, ordonna une audition séparée de B’.) concernant X.).

Lors de son audition policière du 30 janvier 2009, B’.) déclara avoir fait la connaissance d’X.) en mars 2009 (lz 2008) via le

forum « Cumulux » sur internet, de l’avoir rencontré et d’avoir discuté à propos du sport aéronautique auquel ils étaient tous

les deux intéressés. Lors de la discussion, il apprit qu’X.) était un policier, de sorte qu’il lui révéla qu’il avait eu dans le passé

des problèmes avec la justice luxembourgeoise, notamment des affaires d’escroquerie, respectivement d’abus de confiance et

lui demanda par conséquent de vérifier dans le fichier informatique central sur les personnes physiques si des enquêtes le

concernant sont en cours, voire si des affaires de justice sont pendantes. Il lui demanda également de lui fournir l’adresse

concernant F.) en expliquant à X.) que ce dernier lui devait encore de l’argent.

Quelques semaines plus tard, X.) le contacta par téléphone pour lui dire qu’aucune enquête n’était ouverte à son encontre,

qu’il n’était par ailleurs pas signalé et l’informa qu’il avait trouvé F.) dans le registre général des personnes sans toutefois lui

communiquer son adresse.

Il résulte par ailleurs de l’audition policière de B’.) et des éléments du dossier qu’en juillet 2008 B’.) s’était rendu au

domicile d’X.) et que ce dernier l’informa à cette occasion qu’une enquête judiciaire à son encontre avait été ouverte afin de

déterminer son rôle dans la société SOC1.) Sàrl dans laquelle il était associé. De crainte que lors d’une perquisition effectuée

dans son bureau, son ordinateur portable pourrait être saisi et que lors de l’exploitation de cet ordinateur une liste de prix de

pneus soit trouvée, X.) lui demanda de supprimer définitivement ses données personnelles afin d’éviter qu’entre autres cette

liste de prix des pneus, qui, selon X.), n’aurait cependant nullement constitué un indice quant à sa qualité de gérant de fait tel

lui reproché par les autorités, puisse être trouvée. Afin de supprimer de manière définitive ces données, B’.) désinstalla le

système d’exploitation Windows XP et le remplaça par le système Windows VISTA, après avoir sauvegardé des données

concernant son activité professionnelle sur un Stick USB afin de pouvoir les recopier après l’installation du système VISTA

de nouveau sur l’ordinateur d’X.). Il lui remit encore un téléphone portable de marque Nokia N 73 dans la mesure où X.) lui

avait demandé de lui fournir un portable sur lequel une écoute policière ne pourrait être effectuée.

Suite à l’audition de B’.), une instruction judiciaire fut ouverte et le juge d’instruction a ordonné des perquisitions et saisies

au domicile d’X.), à son lieu de travail, dans le véhicule de service ainsi que dans son véhicule privé.

Lors de ces perquisitions qui eurent lieu le 12 février 2009, trois téléphones portables, trois ordinateurs se trouvant dans son

bureau, une matraque télescopique se trouvant dans son véhicule privé et un ordinateur, ainsi que plusieurs sticks USB, des

CD-Rom, des DVD et des disquettes se trouvant au domicile d’X.) furent trouvés et saisis.

Ces objets, ainsi que l’ordinateur et le stick USB appartenant à B’.) et saisis dans le cadre de l’affaire d’enlèvement, furent,

suite à une ordonnance du 2 mars 2009 du juge d’instruction, remis au Service de Police Judiciaire, Section Nouvelles

Technologies, aux fins d’exploitation.

L’exploitation du stick USB de B’.) a révélé que cinq documents ayant trait aux activités policières d’X.) s’y trouvaient, dont

notamment un télégramme d’Interpol concernant la personne de G.), un téléfax du 14 juillet 2006 adressé au commissaire

H.), ainsi que d’autres informations policières concernant des personnes impliquées dans des enquêtes policières.

L’exploitation de l’ordinateur portable de marque Compaq utilisé par X.) à titre professionnel a corroboré les déclarations de

B’.), étant donné que le système d’exploitation standard Windows XP avait été supprimé et remplacé par le système

d’exploitation Windows VISTA. En plus, la licence d’enregistrement du système VISTA était la même que celle utilisé par

B’.) sur son ordinateur.

L’exploitation des portables et des autres objets saisis n’a pas donné des résultats pertinents pour l’enquête.

Le 6 mars 2009, le juge d’instruction a ordonné une perquisition auprès de la Direction de l’Information aux fins de

rechercher et de saisir les documents permettant de retracer et de déterminer les fichiers consultés par X.), notamment quant à

B’.), F.), I.) et J.) à partir du 1er février 2008.

La saisie des listings et l’exploitation afférente a révélé qu’entre le 17 mars 2008 et le 4 février 2009 X.) a effectué 8

recherches concernant B’.), 1 recherche sur F.), 3 recherches sur I.) et 3 recherches sur J.).

Lors de son audition policière du 12 février 2009 X.) a déclaré avoir rencontré B’.) le 15 mars 2008, que ce dernier lui aurait

demandé de vérifier dans le registre général des personnes physiques si des affaires le concernant sont encore pendantes, de

ne pas avoir fait des recherches concernant F.) et d’avoir effectué une recherche concernant son ami I.).

Il expliqua avoir rapidement compris que B’.) était un personnage peu sincère, voire plutôt douteux, ce qui ne le dissuada

cependant pas de lui demander en été 2008 de supprimer de manière irrévocable quelques fichiers personnels qui se

trouvaient sur son ordinateur portable de marque Compaq qu’il utilisait à titre professionnel. Il a à ce titre exposé avoir fait

l’objet d’une enquête policière concernant le statut qu’il occupait au sein de la société SOC1.) Sàrl ; les autorités le

soupçonnaient d’être en réalité gérant de fait de cette société distributive de pneus, ce qui est incompatible avec son statut de

fonctionnaire d’Etat, alors que suivant les status il n’était qu’associé.

De crainte que les enquêteurs ne puissent saisir son ordinateur portable et y trouver un document, précisément une liste de

prix des pneus qui, selon lui, n’aurait strictement rien prouvé, il demanda à B’.), duquel il savait qu’il avait des

connaissances approfondies en informatique, de supprimer ce fichier. Ce dernier procéda alors à la suppression du système

d’exploitation Windows XP en le remplaçant par le système Windows VISTA. Avant la désinstallation du système Windows

XP, B’.) copia des documents professionnels d’X.) sur son stick USB pour que ceux-ci ne soient pas perdus et afin de les

recopier après l’installation du système VISTA sur son ordinateur. Il admit encore avoir été naïf en acceptant la remise par

B’.) d’un portable de marque Nokia N73 pour lequel, suivant les déclarations de B’.), aucune écoute téléphonique ne serait

possible.

Lors de son interrogatoire devant le juge d’instruction du 9 juin 2009, X.) relata de nouveau avoir demandé à B’.), malgré le

fait qu’il avait de sérieux doutes quant à sa sincérité, de procéder à la suppression définitive des données personnelles qui se

trouvaient sur son ordinateur utilisé dans le cadre de ses activités policières dans la mesure où il craignait que ces données,

bien qu’elles auraient été anodines à l’enquête menée contre lui dans le cadre de la société SOC1.) Sàrl, pourraient être

retrouvées lors de l’exploitation de son ordinateur et seraient de nature, eu égard à la partialité des enquêteurs chargés de

l’affaire, à asseoir une condamnation pénale à son encontre. Etant donné que B’.) lui avait expliqué qu’il n’était pas possible

de supprimer des fichiers de manière à ce qu’ils ne puissent pas être reconstitués par des spécialistes en informatique, mais

qu’il faudrait pour ceci remplacer le système d’exploitation Windows XP par le système Windows VISTA, il accepta cette

proposition. Avant de procéder au remplacement du système d’exploitation, B’.) sauvegarda des données professionnelles sur

son stick USB afin de pouvoir les copier après l’installation du nouveau système d’exploitation sur l’ordinateur. Comme le

processus de sauvegarde des données sur le stick USB de B’.) aurait cependant duré trop longtemps, il aurait interrompu le

processus et aurait demandé à B’.) de supprimer les fichiers sur son stick USB.

Il avait également fait part à B’.) qu’il craignait être mis sur écoute téléphonique, de sorte que B’.) lui remit un téléphone

portable sur lequel une écoute téléphonique ne pourrait, selon lui, pas être pratiquée, étant donné qu’il serait équipé d’un

programme spécial qui couperait les communications dès que celles-ci se trouveraient sur écoute.

Concernant les recherches qu’X.) avait effectuées dans le fichier central sur les personnes de B’.) et de F.), il déclara,

contrairement à son audition policière, avoir effectué une recherche sur F.) dans la mesure où B’.) le lui avait demandé,

d’avoir effectué des recherches sur B’.) juste après avoir fait sa connaissance notamment pour voir quel véhicule il

conduisait. Il a précisé être d’avis avoir, en tant que policier, le droit d’effectuer de telles recherches.

A l’audience publique, X.) a réitéré ses déclarations effectuées devant le juge d’instruction. Il contesta que les consultations

effectuées sur le registre général des personnes physiques et morales, sur le fichier des étrangers et sur celui des véhicules

routiers exploités par le Centre Informatique de l’Etat aient été effectuées à titre privé et fit partant plaider que les éléments

constitutifs de la plupart des infractions lui reprochées ne seraient pas établis, de sorte qu’il demanda l’acquittement des

préventions lui mises à charge, à l’exception de l’infraction relative au défaut d’autorisation ministérielle pour la détention de

la matraque télescopique pour laquelle il a été en aveu.

En droit :

Le Ministère Public reproche à X.) :

« comme auteur, co-auteur ou complice,

I) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg, sans préjudice quant aux

indications de temps et de lieux plus exactes,

d’avoir révélé, en tant que médecins, chirurgiens, officiers de santé, pharmaciens, sages-femmes et toutes autres personnes

dépositaires, par état ou par profession, des secrets qu’on leur confie, qui hors le cas où ils sont appelés à rendre

témoignage en justice et celui où la loi les oblige à faire connaître ces secrets

1) en l’espèce, d’avoir consulté à titre privé des fichiers exploités par le Centre Informatique de l’Etat et plus spécialement

aux dates suivantes :

le 17/03/2008 fichier des étrangers (B’.))

le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))

le 18/03/2008 régistre général des personnes physiques et morales (F.))

le 31/03/2008 régistre général des personnes physiques et morales (J.))

le 28/04/2008 régistre général des personnes physiques et morales (B.))

le 29/04/2008 régistre général des personnes physiques et morales (I.))

le 06/05/2008 régistre général des personnes physiques et morales (I.))

le 22/05/2008 régistre général des personnes physiques et morales (I.))

le 10/09/2008 régistre général des personnes physiques et morales (B’.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 27/01/2009 régistre général des personnes physiques et morales (J.))

le 27/01/2009 régistre général des personnes physiques et morales (B.))

le 29/01/2009 régistre général des personnes physiques et morales (B.))

le 04/02/2009 régistre général des personnes physiques et morales (J.))

et d’avoir continué à B.), dit « B’.) », né le (…) à (…) (Thaïlande) les renseignements ainsi obtenus,

2) en l’espèce, d’avoir transféré ou laisser transférer sur le USB Memory Stick Corsair Flash Voyager 16GB appartenant

à et détenu par B.) des documents (internes) de la police et notamment les documents suivants :

-

un télégramme Interpol daté du 21/04/2006 concernant G.), né le (…) à (…) Liberia

-

un téléfax écrit en date du 14/07/2006 adressé par M.H.), commissaire, auprès du Service de Police Judiciaire,

service Anti-Blanchiment ou Anti Money Laundering Office

-

les informations policières concernant plusieurs personnes impliquées dans des enquêtes policières

II) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg, sans préjudice quant aux

indications de temps et de lieux plus exactes,

en infraction aux dispositions de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des

données à caractère personnel,

1) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’aticle 4 (3) de la loi du 2 août

2002 en tant que responsable du traitement en sa qualité de membre du Service de Police Judiciaire pour les avoir

traitées de manière incompatible avec les finalités viséees sub (1) (a) du même article,

en l’espèce, pour avoir traité les données personnelles telles que spécifiées supra I) 1) et I) 2) et de les avoir continuées à

B.), dit « B’.) », né le (…) à (…),

2) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’article 5 (2) en tant que

responsable du traitement en sa qualité de membre du Service de Police Judiciaire pour les avoir traitées sans respecter la

légitimité de traitement prévue aux dispositions (1) a), b), c), d) e) et f) dudit article,

en l’espèce, pour avoir traité les données personnelles telles que spécifiées supra I) 1) et I) 2) et de les avoir continuées à

B.), dit « B’.) », né le (…) à (…),

3) d’avoir effectué à titre privé un traitement de données personnels en violation des dispositions de l’article 17 (3),

en l’espèce, pour avoir traité à titre privé les données personnelles telles que spécifiées supra I) 1) et I) 2) et de les avoir

continuées à B.), dit « B’.) », né le (…) à (…),

III) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg, sans préjudice quant aux

indications de temps et de lieux plus exactes,

d’avoir frauduleusement, accédé ou s’être maintenu dans tout ou partie d’un système de traitement ou de transmission

automatisé de données,

en l’espèce, d’avoir, à titre privé, partant frauduleusement, accédé à des fichiers exploités par le Centre Informatique de

l’Etat et plus spécialement aux dates suivantes:

le 17/03/2008 fichier des étrangers (B’.))

le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))

le 18/03/2008 régistre général des personnes physiques et morales (F.))

le 31/03/2008 régistre général des personnes physiques et morales (J.))

le 28/04/2008 régistre général des personnes physiques et morales (B.))

le 29/04/2008 régistre général des personnes physiques et morales (I.))

le 06/05/2008 régistre général des personnes physiques et morales (I.))

le 22/05/2008 régistre général des personnes physiques et morales (I.))

le 10/09/2008 régistre général des personnes physiques et morales (B’.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 27/01/2009 régistre général des personnes physiques et morales (J.))

le 27/01/2009 régistre général des personnes physiques et morales (B.))

le 29/01/2009 régistre général des personnes physiques et morales (B.))

le 04/02/2009 régistre général des personnes physiques et morales (J.))

IV) au courant de l’été 2008, dans l’arrondissement judiciaire de Luxembourg, et notamment au domicile de X.), sis à L-

(…), (…), sans préjudice quant aux indications de temps et de lieux plus exactes,

d’avoir intentionnellement et au mépris des droits d’autrui, directement ou indirectement, introduit des données dans un

système de traitement ou de transmission automatisé ou supprimé ou modifié les données qu’il contient ou leurs modes de

traitement ou de transmission,

en l’espèce, d’avoir, intentionnellement et au mépris des droits d’autrui, directement, la suppression du système de

traitement Windows XP installé sur le Laptop Compaq nw 8000, n° inventaire de la Direction de l’Information de la Police

Grand-Ducale NB N083, avec harddisc Toshiba MK 6022GAx, 60 GB, numéro de série CNU439FOMN54AN3780T, et

l’avoir remplacé par un système de traitement Windows VISTA Ultimate OEM, portant le numéro de licence 2QBP3-

289MF-9364X-37XGX-24W6P ;

V) depuis un temps non prescrit jusqu’au 12/02/2009, dans l’arrondissement judiciaire de Luxembourg, et notamment le

12/02/2009 à Luxembourg, (…), sans préjudice quant aux indications de temps et de lieux plus exactes,

en infraction à la loi modifiée du 15 mars 1983 sur les armes et munitions

d’avoir sans autorisation ministérielle, détenu et transporté une arme soumise à autorisation,

en l’espèce, une matraque télescopique ».

I) Quant à l’infraction prévue à l’article 458 du Code pénal

X.) a contesté avoir révélé à B’.) une information soumise au secret professionnel. Sans contester avoir informé B’.) que

ce dernier ne serait pas signalé, il fit valoir que cette information ne serait pas visée par l’article 458 du Code pénal.

Suivant l'article 458 du Code Pénal, les médecins, chirurgiens, officiers de santé, pharmaciens, sages-femmes et toutes

autres personnes dépositaires, par état ou par profession, des secrets qu'on leur confie sont susceptibles de sanctions

pénales lorsqu'ils ont révélé ceux-ci hors le cas où ils sont appelés à en rendre témoignage en justice et celui où la loi les

oblige à les faire connaître.

L'infraction de violation d'un secret professionnel comporte trois éléments constitutifs, à savoir :

● l'auteur doit être une personne soumise, par état ou par profession, au secret professionnel,

● un acte de révélation doit avoir eu lieu librement, hors les cas où la loi l'autorise respectivement où un témoignage en

est requis en justice,

● une intention coupable.

L’énumération de l’article 458 du Code pénal, visant les personnes liées par le secret professionnel, n’est pas limitative et

les termes ‘’état ou profession’’ sont assez larges pour embrasser l’exercice d’autres professions que celles énumérées.

Ainsi, les policiers sont soumis au secret professionnel : ils ne peuvent révéler les faits ou détails d’une instruction pénale

qui est secrète (cf. G.SCHUIND, Traité pratique de droit criminel, I, p.421).

Le délit de révélation du secret professionnel existe dès qu’il y a eu une indiscrétion qui peut causer préjudice, que la

révélation a été faite librement, hors les cas où la loi autorise, et qu’elle se réfère à un fait qui était confidentiel de sa

nature.

Concernant l’infraction libellée sous le point sub I) 1) dans l’ordonnance de renvoi, il est constant en cause qu’X.) a

effectué des recherches dans le registre général des personnes physiques et morales, respectivement dans le fichier des

étrangers ainsi que dans le fichier des véhicules routiers sur B’.), I.), F.) et J.).

Il est cependant uniquement établi au vu des déclarations du prévenu et de celles effectuées devant les agents

verbalisateurs par B’.) qu’X.) n’a communiqué à B’.) que le renseignement qu’il avait obtenu le 17 mars 2008, à savoir

que B’.) n’était pas signalé. Il ne résulte par contre d’aucun élément du dossier répressif que les informations résultant des

recherches effectuées sur F.), I.) et J.) aient été communiquées à B’.), de sorte que, concernant ces personnes, aucune

révélation n’est établie.

Aux termes de l’article 458 du Code pénal il ne suffit pas qu’une personne soit devenue confidente d’un secret dans

n’importe quel but et de n’importe quelle manière pour qu’elle puisse se retrancher derrière le secret professionnel, mais il

faut pour que ce texte lui soit applicable, que par son état et sa profession elle soit dépositaire des secrets et que la

confidence qu’elle a reçue ait été obligatoire de la part de ceux qui l’ont faite (Cour 26 février 1918, P.10, p.329).

Force est de constater que la recherche effectuée par X.) concernant B’.) pour déterminer s’il était signalé ou non, est une

information policière qui tombe sous le secret professionnel et qui n’est manifestement pas destinée à être divulguée.

L’intitulé de cette information nominative montre à suffisance de droit qu’il s’agit d’une information policière interne et

que la divulgation du renseignement constitue une violation du secret professionnel.

L’intention délictueuse exigée est le dol simple : sont également punies les révélations indiscrètes ainsi que les révélations

inspirées par la cupidité ou par la méchanceté (cf. G.SCHUIND, Traité pratique du droit criminel, I, p.417).

L’élément moral est également établi en l’espèce dans la mesure où X.) a, en connaissance de cause et librement, révélé,

sur demande de B’.), à ce dernier qu’il n’était pas signalé par les autorités.

L’infraction concernant la divulgation du renseignement obtenu le 17 mars 2008 quant au signalement de B’.) doit dès

lors être retenue à charge d’X.).

Quant à l’infraction libellée sub I) 2) dans l’ordonnance de renvoi, il est constant en cause que B’.) a sauvegardé à partir

de l’ordinateur d’X.), avec l’accord de celui-ci, des fichiers ayant trait à l’activité professionnelle de ce dernier sur son

stick USB dans la mesure où ces fichiers devaient par la suite être copiés sur l’ordinateur portable d’X.) après

l’installation du système d’exploitation Windows VISTA.

Parmi les fichiers retrouvés sur le stick USB de B’.) se trouvaient un télégramme Interpol daté du 21 avril 2006

concernant G.), un téléfax écrit en date du 14 juillet 2006 et des informations policières concernant plusieures personnes

impliquées dans des enquêtes policières.

Dans la mesure où ces fichiers retrouvés sur le stick USB de B’.) contiennent des informations qui ont trait à des activités

policières qui n’étaient pas destinées à être divulgués, ils tombent sous le secret professionnel. Etant donné qu’il est

encore établi que les fichiers ont été transférées avec l’accord d’X.) par B’.) sur son stick USB, l’élément moral est à

suffisance de droit établi.

Il y a partant lieu de retenir l’infraction libellée sub I) 2).

II) Quant aux préventions libellées sub II) dans l’ordonnance de renvoi

X.) a en premier lieu contesté que les dispositions de la loi du 2 août 2002 relative à la protection des personnes à l’égard

du traitement des données à caractère personnel lui soient applicables en faisant valoir que l’article 2 de la prédite loi

viserait le responsable du traitement, qualité qu’il ne détiendrait pas en tant que policier. Serait par contre à considérer

comme « le responsable du traitement » l’Etat selon X.).

Le champ d’application de la loi du 2 août 2002 est défini par l’article 3 qui dispose que :

«(1) La présente loi s’applique:

- au traitement automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données contenues ou appelées

à figurer dans un fichier;

- à toute forme de captage, de traitement et de diffusion de sons et images qui permettent

d’identifier des personnes physiques;

- au traitement de données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales

ou la sûreté de l’Etat, même liées à un intérêt économique ou financier important de l’Etat, sans préjudice des

dispositions spécifiques de droit national ou international régissant ces domaines.

(2) Est soumis à la présente loi:

(a) le traitement mis en oeuvre par un responsable du traitement établi sur le territoire

luxembourgeois;

(b) le traitement mis en oeuvre par un responsable du traitement qui, sans être établi sur le territoire luxembourgeois ou

sur celui d’un autre Etat membre de l’Union européenne, recourt à des moyens de traitement situés sur le territoire

luxembourgeois, à l’exclusion des moyens qui ne sont utilisés qu’à des fins de transit sur ce territoire ou sur celui d’un

autre Etat membre de l’Union européenne.

Pour le traitement mentionné à l’article 3, paragraphe (2) lettre (b), le responsable du traitement désigne par une

déclaration écrite à la Commission nationale un représentant établi sur le territoire luxembourgeois qui se substitue au

responsable du traitement dans l’accomplissement de ses obligations prévues par la présente loi sans que ce dernier ne

soit dégagé de sa propre responsabilité.

(3) La présente loi ne s’applique pas au traitement mis en oeuvre par une personne physique dans le cadre exclusif de ses

activités personnelles ou domestiques.»

Contrairement au soutènement d’X.), la loi ne s’applique donc pas uniquement au responsable du traitement, en l’espèce

le Centre Informatique de l’Etat, mais elle vise par contre les traitements automatisés ou non qui ont été mis en œuvre par

ce responsable, en l’espèce les fichiers mis en œuvre par le Centre Informatique de l’Etat afin d’accéder aux données

personnelles des personnes physiques et morales sur lesquels les policiers ont accès.

Le traitement est défini par l’article 2 point r qui dispose que: «traitement de données à caractère personnel» (ci-après

dénommé «traitement»): toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et

appliquées à des

données, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification,

l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à

disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ».

La jurisprudence française retient une conception large de cette notion. Ont ainsi été retenus comme système de traitement

automatisé le réseau France Telecom, le réseau Carte bancaire, un disque dur, un radiotéléphone, un ordinateur isolé, un

réseau local.

Eu égard à la définition prévue à l’article 2 point r, il y a lieu de relever que le registre général des personnes physiques et

morales, le fichier des étrangers et le fichier des véhicules routiers qui ont été consultés par X.) constituent un traitement

de données, de sorte que la loi à vocation à s’appliquer.

A) Quant à l’infraction à l’article 4 (3) de la loi du 2 août 2002 relative à la protection des personnes à l’égard du

traitement des données à caractère personnel

L’article 4 de la prédite loi dispose que :

« (1) Le responsable du traitement doit s’assurer que les données qu’il traite le sont loyalement et licitement, et

notamment que ces données sont:

(a) collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées

ultérieurement de manière incompatible avec ces finalités;

(b) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont

collectées et pour lesquelles elles sont traitées ultérieurement;

(c) exactes et, si nécessaire, mises à jour; toute mesure raisonnable doit être prise pour que les données inexactes ou

incomplètes, au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées

ultérieurement, soient effacées ou rectifiées;

(d) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas

celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées sans préjudice du paragraphe

(2) ci-après.

(Loi du 27 juillet 2007)

(2) Un traitement ultérieur de données à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible

avec les finalités déterminées pour lesquelles les données ont été collectées.

(3) Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de

huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut

prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le

maximum est fixé par ladite juridiction ».

Il résulte de la lecture du prédit article que le cadre du traitement des données concernant leur collection et leur fin sont

fixés par l’alinéa (1) tandis que l’alinéa (3) sanctionne tous ceux, donc non seulement le responsable du traitement tel que

soutenu par la défense, qui effectuent une violation aux finalités déterminées par les dispositions de l’alinéa (1) a), b), c)

et d).

Le Ministère Public reproche au prévenu d’avoir effectué un traitement de données personnelles en violation de l’article 4

(3) pour les avoir traitées de manière incompatible avec les finalités visées sub (1) a) du même article.

X.) a fait plaider avoir eu le droit, en tant qu’officier de police judiciaire, de consulter les fichiers et a partant conclu à son

acquittement.

Etant donné qu’X.) a fait plaider qu’il aurait eu le droit, en tant qu’officier de police judiciaire, de consulter les fichiers en

question, il y a lieu d’examiner les hypothèses dans lesquelles un officier de police judiciaire a le droit de consulter les

fichiers en question.

L’article 34-1 de la loi modifiée du 31 mai 1999 sur la Police et l’Inspection générale de la police fixe le cadre dans lequel

un officier de police judiciaire peut consulter les fichiers énumérés sous les points 1 à 10.

L’article prévoit que « dans l’exercice des missions prévues aux articles 33 et 34, les membres de la police ayant la

qualité d’officier de police judiciaire ont accès direct, par un système informatique, aux traitements de données à

caractère personnel suivants:

1. le registre général des personnes physiques et morales créé par la loi du 30 mars 1979 organisant l’identification

numérique des personnes physiques et morales;

2. le fichier relatif aux affiliations des salariés, des indépendants et des employeurs géré par le Centre commun de la

sécurité sociale sur base de l’article 321 du Code des assurances sociales, à l’exclusion de toutes données relatives à la

santé;

3. le fichier des étrangers exploité pour le compte du service des étrangers du ministre ayant l’Immigration dans ses

attributions;

4. le fichier des demandeurs d’asile exploité pour le compte du service des réfugiés du ministre ayant l’Immigration dans

ses attributions;

5. le fichier des demandeurs de visa exploité pour le compte du bureau des passeports, visas et légalisations du ministre

ayant les Affaires étrangères dans ses attributions;

6. le fichier des autorisations d’établissement exploité pour le compte du ministre ayant les Classes moyennes dans ses

attributions;

7. le fichier des titulaires et demandeurs de permis de conduire exploité pour le compte du ministre ayant les Transports

dans ses attributions;

8. le fichier des véhicules routiers et de leurs propriétaires et détenteurs, exploité pour le compte du ministre ayant les

Transports dans ses attributions;

9. le fichier des assujettis à la taxe sur la valeur ajoutée, exploité pour le compte de l’Administration de l’Enregistrement

et des Domaines;

10. le fichier des armes prohibées du ministre ayant la Justice dans ses attributions.

Dans l’exercice de ces mêmes missions, les membres de la Police ayant la qualité d’agent de police judiciaire ont accès

direct, par un système informatique, aux fichiers visés aux points numéros 1, 2, 3, 4, 5, 6, 7, 8, et 10 de l’alinéa 1er. Il en

est de même pour les membres du cadre administratif et technique de la Police, nommément désignés par le ministre

ayant la Police dans ses attributions sur proposition du directeur général de la Police, en fonction de leurs attributions

spécifiques.

…

Seules les données à caractère personnel strictement nécessaires, dans le respect du principe de proportionnalité,

peuvent être consultées ».

Etant donné que le prédit article permet aux agents et officiers de police judiciaire d’accéder aux fichiers énumérés sous

les points 1 à 8 et 10, respectivement 1 à 10 dans le cadre de leurs missions, il y a lieu d’examiner si X.) a effectué les

consultations et les recherches qui lui sont reprochées dans l’exercice de sa fonction.

L’article 33 de la loi modifiée du 31 mai 1999 prévoit que « Dans l’exercice de ses missions de police administrative, la

Police veille au maintien de l’ordre public, l’exécution des lois et règlements de police généraux et communaux, la

prévention des infractions et la protection des personnes et des biens. A cet effet, elle assure une surveillance générale et

des contrôles dans les lieux qui lui sont légalement accessibles, exécute des mesures de police administrative et prend des

mesures matérielles de police administrative de sa compétence ».

L’article 34 de la prédite loi dispose que « Dans l’exercice de ses missions de police judiciaire la Police a pour tâches :

1. de rechercher les crimes, les délits et les contraventions, de les constater, d’en rassembler les preuves, d’en donner

connaissance aux autorités compétentes, d’en rechercher, saisir, arrêter et mettre à la disposition de l’autorité

compétente les auteurs, de la manière et dans les formes déterminées par la loi;

2. de rechercher les personnes dont l’arrestation est prévue par la loi, de s’en saisir, de les arrêter et de les mettre à la

disposition des autorités compétentes;

3. de rechercher, de saisir et de mettre à la disposition de l’autorité compétente les objets dont la saisie est prescrite;

4. de transmettre aux autorités compétentes le compte rendu de leurs missions ainsi que les informations recueillies à

cette occasion.

Les membres de la Police recueillent tous les renseignements que le procureur général d’Etat ou les procureurs d’Etat

estiment utiles à une bonne administration de la justice ».

En l’espèce, toutes les consultations qu’X.) a effectuées concernant B’.), J.), F.) et I.) ne tombent pas dans l’une des

hypothèses visées par les articles 33 et 34 de la loi modifiée du 31 mai 1999 dans la mesure où l’officier de police

judiciaire X.) n’accomplissait pas une mission de police administrative, ni judiciaire et qu’il ne fut d’ailleurs pas chargé de

mener une enquête à l’encontre de l’une de ces personnes.

Il a par contre, à titre privé, donc à des fins non professionnelles, effectué ces recherches tant sur sa propre initiative (J.) et

B’.) concernant les consultations ayant eu lieu à partir du 18 mars 2008), tant sur demande de B’.) (concernant la

consultation du 17 mars 2008 et celle du 18 mars 2008 sur F.)) et sur demande d’I.).

Dans la mesure où il est établi que le prévenu a effectué les consultations à des fins privées, donc à des fins autres que

celles prévues à l’alinéa (1) de l’article 4 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du

traitement des données à caractère personnel, le prévenu a enfreint l’alinéa (3) de l’article 4 de la prédite loi.

Il est par ailleurs constant en cause que le prévenu a fait transférer les données libellées sous le point sub I) 2) dans

l’ordonnance de renvoi sur le stick USB de B’.), que ce transfert de données n’est pas lié à l’activité professionnelle d’X.),

de sorte qu’il ne constitue donc pas un transfert loyal et licite tel que prévu par l’alinéa (1) de l’article 4 de la loi du 2 août

2002.

L’infraction libellée par le Ministère Public est partant à retenir sauf à rectifier le libellé en faisant abstraction du fait qu’à

part les données concernant le signalement de B’.), donc la consultation effectuée le 17 mars 2008 et les données

retrouvées sur le stick USB de celui-ci, X.) n’a pas continué les données personnelles obtenues suite à ses recherches à

B’.).

B) Quant à l’infraction à l’article 5 (2) de la loi du 2 août 2002 relative à la protection des personnes à l’égard du

traitement des données à caractère personnel

Le Ministère Public reproche au prévenu d’avoir effectué un traitement des données personnelles en violation des

dispositions de l’article 5 (2) pour les avoir traitées sans respecter la légitimité de traitement prévue aux dispositions (1)

a), b), c), d), e) et f) dudit article.

L’article 5 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère

personnel dispose que :

«(1) Le traitement de données ne peut être effectué que (...):

(a) s’il (…) est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, ou

(b) s’il (…) est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique,

dont est investi le responsable du traitement ou le ou les tiers auxquels les données sont communiquées, ou

(c) s’il (…) est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures

précontractuelles prises à la demande de celle-ci, ou

(d) s’il (…) est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les

tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés

fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er, ou

(e) s’il (…) est nécessaire à la sauvegarde de l’intérêt vital de la personne concernée, ou

(f) si la personne concernée a donné son consentement.»

(2) Quiconque effectue un traitement en violation des dispositions du présent article est puni d’un emprisonnement de

huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines seulement. La juridiction saisie peut

prononcer la cessation du traitement contraire aux dispositions du présent article sous peine d’astreinte dont le

maximum est fixé par ladite juridiction ».

Il résulte des considérations qui précèdent que le traitement des données effectuées par X.) ne tombe dans aucune des

hypothèses visées aux points a) à f) de l’alinéa (1) de l’article 5, sauf en ce qui concerne la consultation sur la personne d’I.),

qui, entendu sous la foi du serment à l’audience, a déclaré avoir demandé à son ami X.) d’effectuer une recherche sur lui afin

de déterminer s’il se trouve toujours sous le coup d’une interdiction de conduire, ainsi que la consultation du 17 mars 2008

effectuée sur B’.) dans la mesure où ce dernier avait déclaré lui avoir demandé de vérifier s’il était signalé, de sorte que

l’infraction est à retenir sauf à rectifier le libellé de la prévention en faisant abstraction des consultations effectuées les 29

avril 2008, 6 mai 2008 et 22 mai 2008 sur I.), ainsi que celle effectuée le 17 mars 2008 sur B’.) et en faisant abstraction du

fait qu’à part les données retrouvées sur le stick USB de celui-ci, X.) n’a pas continué les données personnelles obtenues

suite à ses recherches à B’.).

C) Quant à l’infraction à l’article 17 (3) de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement

des données à caractère personnel :

Le Ministère Public reproche à X.) d’avoir enfreint l’article 17 (3) de la loi du 2 août 2002 relative à la protection des

personnes à l’égard du traitement des données à caractère personnel.

Il résulte de l’article 17 de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à

caractère personnel que :

«Art. 17. Autorisation par voie réglementaire

(1) Font l’objet d’un règlement grand-ducal:

(a) les traitements d’ordre général nécessaires à la prévention, à la recherche et à la constatation des infractions pénales

qui sont réservés, conformément à leurs missions légales et réglementaires respectives, aux organes du corps de la police

grand-ducale, de l’Inspection générale de la police et de l’administration des douanes et accises.

Le règlement grand-ducal déterminera le responsable du traitement, la condition de légitimité du traitement, la ou les

finalités du traitement, la ou les catégories de personnes concernées et les données ou les catégories de données s’y

rapportant, l’origine de ces données, les tiers ou les catégories de tiers auxquels ces données peuvent être communiquées

et les mesures à prendre pour assurer la sécurité du traitement en application de l’article 22 de la présente loi,

(b) les traitements relatifs à la sûreté de l’Etat, à la défense et à la sécurité publique, et

(c) les traitements de données dans des domaines du droit pénal effectués en vertu de conventions internationales,

d’accords intergouvernementaux ou dans le cadre de la coopération avec l’Organisation internationale de police

criminelle (OIPC - Interpol),

(Loi du 27 juillet 2007)

«(d) la création et l’exploitation, aux fins et conditions visées sous (a), d’un système de

vidéosurveillance des zones de sécurité. Est à considérer comme telle tout lieu accessible au public qui par sa nature, sa

situation, sa configuration ou sa fréquentation présente un risque accru d’accomplissement d’infractions pénales.

Les zones de sécurité sont fixées dans les conditions prévues par règlement grand-ducal.»

(2) Le contrôle et la surveillance des traitements mis en oeuvre tant en application d’une disposition de droit interne

qu’en application d’une convention internationale est exercé par une autorité de contrôle composée du Procureur

Général d’Etat, ou de son délégué qui la préside, et de deux membres de la Commission nationale nommés, sur

proposition de celle-ci, par le ministre.

L’organisation et le fonctionnement de l’autorité de contrôle font l’objet d’un règlement grand-ducal.

L’autorité de contrôle est informée immédiatement de la mise en oeuvre d’un traitement de données visé par le présent

article. Elle veille à ce que ces traitements soient effectués conformément aux dispositions légales qui les régissent.

Pour l’exercice de sa mission, l’autorité de contrôle a un accès direct aux données traitées. Elle peut procéder, quant aux

traitements effectués, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa

mission. Elle peut également charger un de ses membres à procéder à des missions de contrôle spécifique qui sont

exécutées dans les conditions indiquées ci-dessus.

L’autorité de contrôle fait opérer les rectifications et radiations nécessaires. Elle présente chaque année au ministre un

rapport rendant compte de l’exécution de sa mission.

Le droit d’accès aux données visées au présent article ne peut être exercé que par l’intermédiaire de l’autorité de

contrôle. Celle-ci procède aux vérifications et investigations utiles, fait opérer les rectifications nécessaires et informe la

personne concernée que le traitement en question ne contient aucune donnée contraire aux conventions, à la loi et à ses

règlements d’exécution.

(3) Toute personne, agissant à titre privé, qui effectue un traitement en violation des dispositions du présent article est

punie d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125.000 euros ou d’une de ces peines

seulement. La juridiction saisie peut prononcer la cessation du traitement contraire aux dispositions du présent article

sous peine d’astreinte dont le maximum est fixé par ladite juridiction».

En l’espèce, X.) a effectué des traitements qui seraient tombés sous la définition du point (1) (a) s’il avait agi dans le cadre

d’une mission policière, donc à titre professionnel. Etant donné qu’il est cependant établi, au vu de ce qui précède, qu’X.)

n’a pas effectué les traitements dans le cadre de son travail policier mais à des fins privés, il se trouve en infraction à

l’article 17 (3).

L’infraction est partant à retenir.

Il y a lieu de modifier le libellé de la prévention en même sens et pour les mêmes raisons que pour l’infraction à l’article 4 (3)

tel qu’exposé sous le point A) ci-dessus.

III) Quant à l’infraction prévue à l’article 509-1 du Code pénal

Le Ministère Public reproche au prévenu d’avoir, entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de

Luxembourg, à titre privé, partant frauduleusement, accédé à des fichiers exploités par le Centre Informatique de l’Etat.

L’article 509-1 prévoit que « quiconque, frauduleusement, aura accédé ou se sera maintenu dans tout ou partie d’un système

de traitement ou de transmission automatisé de données sera puni d’un emprisonnement de deux mois à deux ans et d’une

amende de 500 euros à 25.000 euros ou de l’une de ces deux peines ».

Le prévenu a contesté cette infraction en soutenant que l’article ne lui serait pas applicable dans la mesure où il s’est introduit

dans le système en utilisant son log in et son mot de passe. Il a fait plaider que le terme « frauduleux » nécessiterait une

intrusion à l’aide de moyens informatiques tel que « cheval de troie », « raccourci », « acte asynchrone », « déplombage »,

« déguisement » ou « poubelle », donc un agissement actif de la part de l’intrus pour arriver à avoir accès au système.

Il y a lieu de relever que l’article 509-1 du Code pénal ne précise pas que l’intrusion dans le système doit être effectuée à

l’aide de moyens informatiques tels qu’énumérés par la défense, l’article en question ne mentionne en revanche que le terme

« frauduleux ».

Le Tribunal retient que constitue un accès et un maintien frauduleux dans un système de traitement automatisé le fait

d’accéder et de se maintenir dans le système, même en utilisant son propre log in et son mot de passe, si la finalité de l’accès

et du maintien ne sont pas compatibles avec les hypothèses prévues par la loi. En l’espèce, X.) a effectué des recherches à des

fins purement privées, donc en violation avec les dispositions de la loi du 2 août 2002, de sorte que l’accès et le maintien

étaient frauduleux.

L’infraction est partant à retenir.

IV) Quant à l’infraction prévue à l’article 509-3 du Code pénal

Le Parquet reproche à X.) d’avoir intentionnellement et au mépris des droits de la police grand-ducale, par l’intermédiaire de

B.), supprimé le système de traitement Windows XP installé sur le laptop Compacq et de l’avoir remplacé par le système de

traitement Windows VISTA.

Sans contester avoir fait remplacer le système Windows XP par le système Windows VISTA par B’.) sur l’ordinateur

portable lui remis par son employeur pour l’exercice de ses activités professionnelles, le prévenu a contesté que les éléments

constitutifs de cette infraction sont établies en faisant notamment valoir que le système Windows XP ne constituerait pas un

système de traitement.

L’article 509-3 du Code pénal dispose que « quiconque aura, intentionnellement et au mépris des droits d’autrui,

directement ou indirectement, introduit des données dans un système de traitement ou de transmission automatisé ou

supprimé ou modifié les données qu’il contient ou leurs modes de traitement ou de transmission, sera puni d’un

emprisonnement de trois mois à trois ans et d’une amende de 1.250 euros à 12.500 euros ou de l’une de ces deux peines ».

Il y a lieu de relever que les systèmes d’exploitation Windows XP et VISTA constituent des programmes indispensables au

fonctionnement d’un ordinateur, c’est-à-dire que sans l’un de ces programmes ou d’un programme similaire tel que par

exemple Windows 7, l’ordinateur est inutilisable. S’ajoute encore que le programme Windows XP initialement installé sur

l’ordinateur du prévenu par le Centre Informatique de l’Etat a été configuré de manière que l’ordinateur du prévenu puisse

se connecter au réseau interne de la police, ceci notamment pour avoir accès aux données contenues dans les fichiers qu’il

avait consultés.

Le Tribunal retient dès lors, au vu de ce qui précède, que le programme Windows XP constitue un système de traitement

et que l’article 509-3 du Code pénal a vocation à s’appliquer au fait reproché au prévenu.

Etant donné qu’il est établi qu’X.) a fait procéder à la suppression du système Windows XP pour le faire remplacer par le

système Windows VISTA, l’infraction est à retenir, peu importe d’ailleurs le mobile ayant incité le prévenu à faire

effectuer ce changement de système.

V) Quant à l’infraction à la loi du 15 mars 1983 sur les armes et munitions :

Le Ministère Public reproche finalement au prévenu d’avoir détenu et transporté une matraque télescopique, partant une

arme soumise à autorisation, sans être en possession d’une autorisation ministérielle.

Lors de la perquisition dans le véhicule privé d’X.), une matraque télescopique fut trouvée et saisie. Il est constant en

cause qu’X.) ne disposait pas une autorisation ministérielle l’autorisant à détenir et à transporter la prédite arme, de sorte

que l’infraction, d’ailleurs non contestée par le prévenu, est à retenir.

X.) se trouve convaincu par les éléments du dossier répressif, les dépositions des témoins Christian KIEFFER et T1.) et

les débats menés en audience publique:

« comme auteur, ayant lui-même commis les infractions,

I) en mars 2008 pour l’infraction sub I) 1) et en juillet 2008 pour l’infraction sub I) 2), dans l’arrondissement judiciaire

de Luxembourg,

1) d’avoir révélé, en tant que personne dépositaire par profession, des secrets qu’on leur confie, qui hors le cas où ils

sont appelés à rendre témoignage en justice et celui où la loi les oblige à faire connaître ces secrets,

en l’espèce, d’avoir consulté à titre privé le fichier des étrangers exploité par le Centre Informatique de l’Etat le 17 mars

2008 concernant B.) dit « B’.) », né le (…) à (…) (Thaïlande) et de lui avoir continué le renseignement qu’il n’était pas

signalé,

2) en l’espèce, d’avoir laissé transférer sur le USB Memory Stick Corsair Flash Voyager 16GB appartenant à B.) des

documents (internes) de la police et notamment les documents suivants :

-

un télégramme Interpol daté du 21/04/2006 concernant G.), né le (…) à (…) Liberia

-

un téléfax écrit en date du 14/07/2006 adressé par M.H.), commissaire, auprès du Service de Police Judiciaire,

service Anti-Blanchiment ou Anti Money Laundering Office

-

les informations policières concernant plusieurs personnes impliquées dans des enquêtes policières

II) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg,,

en infraction aux dispositions de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des

données à caractère personnel,

1) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’aticle 4 (3) de la loi du 2 août

2002 en sa qualité de membre du Service de Police Judiciaire pour les avoir traitées de manière incompatible avec les

finalités viséees sub (1) (a) du même article,

en l’espèce, pour avoir traité les données personnelles suivantes :

le 17/03/2008 fichier des étrangers (B’.))

le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))

le 18/03/2008 régistre général des personnes physiques et morales (F.))

le 31/03/2008 régistre général des personnes physiques et morales (J.))

le 28/04/2008 régistre général des personnes physiques et morales (B.))

le 29/04/2008 régistre général des personnes physiques et morales (I.))

le 06/05/2008 régistre général des personnes physiques et morales (I.))

le 22/05/2008 régistre général des personnes physiques et morales (I.))

le 10/09/2008 régistre général des personnes physiques et morales (B’.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 27/01/2009 régistre général des personnes physiques et morales (J.))

le 27/01/2009 régistre général des personnes physiques et morales (B.))

le 29/01/2009 régistre général des personnes physiques et morales (B.))

le 04/02/2009 régistre général des personnes physiques et morales (J.))

et spécifiées supra I) 2) et d’avoir continué à B.), dit « B’.) », né le (…) à (…), le renseignement le concernant du 17

mars 2008 et les données retrouvées sur son stick USB,

2) d’avoir effectué un traitement de données personnelles en violation des dispositions de l’article 5 (2) en tant que

responsable du traitement en sa qualité de membre du Service de Police Judiciaire pour les avoir traitées sans respecter

la légitimité de traitement prévue aux dispositions (1) a), b), c), d) e) et f) dudit article,

en l’espèce, pour avoir traité les données personnelles suivantes :

le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))

le 18/03/2008 régistre général des personnes physiques et morales (F.))

le 31/03/2008 régistre général des personnes physiques et morales (J.))

le 28/04/2008 régistre général des personnes physiques et morales (B.))

le 10/09/2008 régistre général des personnes physiques et morales (B’.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 27/01/2009 régistre général des personnes physiques et morales (J.))

le 27/01/2009 régistre général des personnes physiques et morales (B.))

le 29/01/2009 régistre général des personnes physiques et morales (B.))

le 04/02/2009 régistre général des personnes physiques et morales (J.))

et spécifiées supra I) 2) et d’avoir continué à B’.) les données spécifiées supra I) 2),

3) d’avoir effectué à titre privé un traitement de données personnels en violation des dispositions de l’article 17 (3),

en l’espèce, pour avoir traité à titre privé les données personnelles suivantes :

le 17/03/2008 fichier des étrangers (B’.))

le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))

le 18/03/2008 régistre général des personnes physiques et morales (F.))

le 31/03/2008 régistre général des personnes physiques et morales (J.))

le 28/04/2008 régistre général des personnes physiques et morales (B.))

le 29/04/2008 régistre général des personnes physiques et morales (I.))

le 06/05/2008 régistre général des personnes physiques et morales (I.))

le 22/05/2008 régistre général des personnes physiques et morales (I.))

le 10/09/2008 régistre général des personnes physiques et morales (B’.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 27/01/2009 régistre général des personnes physiques et morales (J.))

le 27/01/2009 régistre général des personnes physiques et morales (B.))

le 29/01/2009 régistre général des personnes physiques et morales (B.))

le 04/02/2009 régistre général des personnes physiques et morales (J.))

et spécifiées supra I) 2) et d’avoir continué à B.), dit « B’.) », né le (…) à (…), le renseignement le concernant du 17 mars

2008 et les données retrouvées sur son stick USB,

III) entre mars 2008 et fin février 2009, dans l’arrondissement judiciaire de Luxembourg,

d’avoir frauduleusement, accédé et s’être maintenu dans tout ou partie d’un système de traitement et de transmission

automatisé de données,

1) en l’espèce, d’avoir, à titre privé, partant frauduleusement, accédé à des fichiers exploités par le Centre Informatique de

l’Etat et plus spécialement aux dates suivantes:

le 17/03/2008 fichier des étrangers (B’.))

le 18/03/2008 fichier des véhicules routiers et de leurs propriétaires et détenteurs (B.))

le 18/03/2008 régistre général des personnes physiques et morales (F.))

le 31/03/2008 régistre général des personnes physiques et morales (J.))

le 28/04/2008 régistre général des personnes physiques et morales (B.))

le 29/04/2008 régistre général des personnes physiques et morales (I.))

le 06/05/2008 régistre général des personnes physiques et morales (I.))

le 22/05/2008 régistre général des personnes physiques et morales (I.))

le 10/09/2008 régistre général des personnes physiques et morales (B’.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 10/09/2008 régistre général des personnes physiques et morales (B.))

le 27/01/2009 régistre général des personnes physiques et morales (J.))

le 27/01/2009 régistre général des personnes physiques et morales (B.))

le 29/01/2009 régistre général des personnes physiques et morales (B.))

le 04/02/2009 régistre général des personnes physiques et morales (J.)) ;

IV) au courant de l’Eté 2008, dans l’arrondissement judiciaire de Luxembourg, et notamment au domicile d’X.), sis à L-

(…), (…),

d’avoir intentionnellement et au mépris des droits d’autrui, directement supprimé les données d’un sytème de traitement,

en l’espèce, d’avoir, intentionnellement et au mépris des droits de la Poice Grand-Ducale, par l’intermédiaire de B.),

supprimé le système de traitement Windows XP installé sur le laptop Compaq nw 8000, n°inventaire de la Direction de

l’Information de la Police Grand-Duclae NB N083, avec harddisc Toshiba MK 6022GAx, 60 GB, numéro de série

CNU439FOMN54AN3780T, et de l’avoir remplacé par un système de traitement Windows VISTA Ultimate OEM, portant le

numéro de licence 2QBP3-289MF-9364X-37XGX-24W6P ;

V) depuis un temps non prescrit jusqu’au 12/02/2009, dans l’arrondissement judiciaire de Luxembourg, et notamment le

12/02/2009 à Luxembourg, (…),

en infraction à la loi modifiée du 15 mars 1983 sur les armes et munitions

d’avoir sans autorisation ministérielle, détenu et transporté une arme soumise à autorisation,

en l’espèce, d’avoir sans autorisation ministérielle, détenu et transporté une matraque télescopique ».

III) Les peines :

Les infractions retenues sub I) 1), I) 2), II) 1), 2), 3) et III) se trouvent en concours idéal dans la mesure où elles ont été

commises dans une intention frauduleuse unique, de sorte qu’il y a lieu à application de l’article 65 du Code pénal.

Ce groupe d’infractions se trouve en concours réel avec les infractions retenues sub IV) et V) qui se trouvent elles-mêmes

en concours réel entre elles, de sorte qu’il y a également lieu à application de l’article 60 du Code pénal.

La peine la plus forte qui, conformément à l’article 60 du Code pénal, pourra être élevée au double du maximum sans

dépasser la somme des peines prévues par les différents délits, est celle prévue à l’article 509-3 du Code pénal.

La gravité des infractions retenues à l’encontre d’X.), ensemble son attitude à l’audience consistant à nier l’ensemble des

infractions lui reprochées et l’absence de repentir, justifie sa condamnation à une peine d’emprisonnement de 18 mois et à

amende de 1.500 euros.

Dans la mesure où le casier judiciaire du prévenu est vierge, il y a lieu d’assortir la peine d’emprisonnement du sursis

intégral.

Il y a lieu d’ordonner la confiscation de la matraque télescopique, pour constituer l’objet de l’infraction retenue sub V),

saisie suivant procès-verbal n°232-1/2009 du 17 février 2009 établi par l’Inspection Générale de la Police.

Il y a lieu d’ordonner la restitution à son légitime propriétaire, l’Etat du Grand-Duché de Luxembourg, du laptop Compaq

nw 8000, n° de série CNU439FOMN54AN3780OT, de l’ordinateur de marque Priminfo, n° de série

907638400886J1FX608968 et de l’ordinateur de marque Fujitsu Siemens Scenic, n° de série YBFC354371WD-

WCAJ51347710 saisis suivant procès-verbal n°207/2009-2 du 12 février 2009 établi par l’Inspection Générale de la

Police.

Il y a lieu d’ordonner la restitution à son légitime propriétaire, X.), de l’ordinateur (Noname), n° de série F60759QCWD-

WCAL81510470 et du Gsm Motorola Imei 353908011276760 saisis suivant procès-verbal de saisie n°207/2009-1 du 12

février 2009.

Il y a lieu d’ordonner la restitution à leurs légitimes propriétaires les portables Nokia 6021, Imei 358376001741612 et

Nokia 5146 saisis suivant procès-verbal n°2007/2009-2 établi par l’Inspection Générale de la Police du 12 février 2009

ainsi que les objets saisis suivant procès-verbal n°2007/2009-4 établi par l’Inspection Générale de la Police du 12 février

2009.

P A R C E S M O T I F S :

le Tribunal d'arrondissement de et à Luxembourg, treizième chambre, siégeant en matière correctionnelle, statuant

contradictoirement, le prévenu X.) et son défenseur entendus en leurs explications et moyens de défense, le représentant

du Ministère Public en ses réquisitions,

c o n d a m n e X.) du chef des infractions retenues à sa charge, qui se trouvent pour partie en concours idéal et pour

partie en concours réel, à une peine d’emprisonnement de 18 (DIX-HUIT) mois et à une amende correctionnelle de

1.500 (MILLE CINQ CENTS) euros, ainsi qu’aux frais de sa mise en jugement, ces frais liquidés à 35,97 euros ;

f i x e la durée de la contrainte par corps en cas de non-paiement de l’amende à 30 (TRENTE) jours ;

d i t qu’il sera sursis à l’exécution de cette peine d’emprisonnement;

a v e r t i t X.) qu’au cas où, dans un délai de cinq ans à dater du présent jugement, il aura commis une nouvelle

infraction ayant entraîné une condamnation à une peine d’emprisonnement ou à une peine plus grave pour crime ou délit

de droit commun, la peine d’emprisonnement prononcée ci-devant sera exécutée sans confusion possible avec la nouvelle

peine et que les peines de la récidive seront encourues dans les termes de l’article 56 al.2 du Code pénal.

o r d o n n e la confiscation de la matraque télescopique, comme objet ayant servi à commettre l’infraction sub V) saisie

suivant procès-verbal n°232-1/2009 du 17 février 2009 établi par l’Inspection Générale de la Police ;

o r d o n n e la restitution du laptop Compaq nw 8000, n° de série CNU439FOMN54AN3780OT, de l’ordinateur de

marque Priminfo, n° de série 907638400886J1FX608968, de l’ordinateur de marque Fujitsu Siemens Scenic, n° de série

YBFC354371WD-WCAJ51347710 saisis suivant procès-verbal n°207/2009-2 du 12 février 2009 établi par l’Inspection

Générale de la Police à son légitime propriétaire, l’Etat luxembourgeois ;

o r d o n n e la restitution de l’ordinateur (Noname), n° de série F60759QCWD-WCAL81510470 et du Gsm Motorola

Imei 353908011276760 saisi suivant procès-verbal de saisie n°207/2009-1 du 12 février 2009, à son légitime

propriétaire X.) ;

o r d o n n e la restitution des portables Nokia 6021, Imei 358376001741612 et Nokia 5146 saisis suivant procès-verbal

n°2007/2009-2, ainsi que des objets saisis suivant procès-verbal n°2007/2009-4 établis par l’Inspection Générale de la

Police du 12 février 2009 à leurs légitimes propriétaires.

Le tout en application des articles 27, 28, 29, 30, 31, 60, 65, 66, 458, 509-1 et 509-3 du Code pénal; articles 4, 5 et 17 de la

loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel ; articles 1

et 28 de la loi du 15 mars 1983 sur les armes et munitions ; articles 1, 154, 179, 182, 184, 189, 190, 190-1, 194, 195, 628 et

628-1 du Code d’instruction criminelle dont mention a été faite.

Ainsi fait et jugé par Sylvie CONTER, Vice-président, Steve VALMORBIDA et Antoine SCHAUS, juges et prononcé, en

présence de Guy BREISTROFF, substitut du Procureur d’Etat, en l'audience publique dudit Tribunal d'arrondissement de

Luxembourg, date qu'en tête, par Madame le Vice-président, assistée de la greffière assumée Tahnee WAGNER, qui, à

l'exception du représentant du Ministère Public, ont signé le présent jugement.

De ce jugement appel au pénal fut relevé au greffe du tribunal

d’arrondissement de Luxembourg en date du 22 juillet 2011 par Maître Myriam

BRUNEL, en remplacement de Maître Pierre GOERENS, avocats à la Cour, les

deux demeurant à Luxembourg, pour et au nom du prévenu X.).

Le même jour appel au pénal fut déposé au greffe du tribunal d’arrondissement

de Luxembourg par le représentant du ministère public.

En vertu de ces appels et par citation du 28 février 2012, le prévenu X.) fut

requis de comparaître à l’audience publique du 7 mai 2012 devant la Cour

d’appel de Luxembourg, dixième chambre, siégeant en matière correctionnelle,

pour y entendre statuer sur le mérite des appels interjetés.

A cette audience l’affaire fut remise contradictoirement au 23 mai 2012.

A cette audience le prévenu X.) fut entendu en ses déclarations personnelles.

Maître Pierre GOERENS, avocat à la Cour, demeurant à Luxembourg,

développa plus amplement les moyens d’appel et de défense du prévenu X.).

Madame l’avocat général Mylène REGENWETTER, assumant les fonctions de

ministère public, fut entendue en son réquisitoire.

L A C O U R

prit l'affaire en délibéré et rendit à l'audience publique du 27 juin 2012, à

laquelle le prononcé avait été fixé, l'arrêt qui suit:

Par déclarations du 22 juillet 2011 au greffe du tribunal d’arrondissement de

Luxembourg le prévenu X.) et le procureur d’Etat ont fait relever appel d’un

jugement correctionnel rendu le 15 juin 2011 dont la motivation et le dispositif

sont reproduits aux qualités du présent arrêt.

Les appels sont recevables pour avoir été relevés dans les formes et délais de

la loi.

Le ministère public reproche à X.) d’avoir contrevenu à l’article 458 du code

pénal en consultant à titre privé des fichiers exploités par le Centre

Informatique de l’Etat et en révélant les renseignements ainsi obtenus à un

dénommé B’.), de même qu’en transférant ou en laissant transférer des

documents internes de la police sur la clé USB de B’.). Il est encore reproché

au prévenu d’avoir enfreint les articles 4(3), 5(2) et 17(3) de la loi du 2 août

2002 relative à la protection des personnes à l’égard du traitement des

données à caractère personnel, les articles 509-1 et 509-3 du code pénal et la

loi du 15 mars 1983 sur les armes et munitions.

Les juges de première instance ont retenu le prévenu dans les liens de toutes

les infractions libellées à sa charge et ils l’ont condamné à une peine

d’emprisonnement de dix-huit mois, assortie du sursis à son exécution et à une

amende de 1.500 euros.

En instance d’appel X.), qui est en aveu concernant l’infraction à la loi sur les

armes et munitions, maintient les contestations qu’il avait fait valoir devant le

tribunal correctionnel relatives aux autres infractions mises à sa charge. Il

conclut dès lors à son acquittement, à titre subsidiaire il demande à voir

suspendre le prononcé de la condamnation à intervenir, sinon à ne voir

prononcer qu’une amende ou à voir assortir une peine d’emprisonnement

éventuelle du sursis intégral au vu de ses bons antécédents judiciaires.

Le représentant du ministère public requiert la confirmation du jugement

entrepris et il requiert une peine d’emprisonnement de deux ans ainsi qu’une

amende.

Il résulte des éléments du dossier répressif discuté à l’audience de la Cour que

les juges de première instance ont fourni une relation correcte et détaillée des

faits à laquelle la Cour se réfère, les débats devant elle n’ayant pas apporté de

faits nouveaux par rapport à ceux qui ont été soumis à l’examen de la chambre

criminelle du tribunal d’arrondissement.

Quant à l’infraction à l’article 458 du code pénal

Le prévenu fait valoir que l’information révélée à B’.) relative à son signalement

ne serait pas soumise au secret professionnel. L’article 28 de la loi du 2 août

2002 consacrerait le droit d’accès de chaque citoyen aux données le

concernant. Pour ce qui est des documents policiers transférés sur la clé USB

de B’.), il n’y aurait pas eu de révélation au sens de la loi, puisque les fichiers

auraient été effacés sur le support et n’auraient pas été consultés.

Le tribunal correctionnel a correctement exposé les éléments constitutifs de

l’infraction de violation du secret professionnel. C’est encore à bon droit et par

des motifs auxquels la Cour se rallie qu’il a retenu le prévenu dans les liens de

la prédite prévention pour avoir révélé à B’.) qu’il ne faisait pas l’objet d’un

signalement par la police.

Le prévenu en sa qualité de policier est en effet soumis au secret professionnel

pour les faits dont il a connaissance du fait de sa profession. L’information

relative à B’.) a été obtenue par le prévenu à l’occasion de recherches

effectuées dans des fichiers auxquels il avait accès de par sa profession. Elle

constitue une information policière interne déterminante en vue de

l’interpellation d’une personne, de son audition, ou de son arrestation, elle est

en tant que telle confidentielle et n’est pas destinée à être divulguée afin de ne

pas compromettre l’enquête policière.

Quant à l’article 28 de la loi du 2 août 2002 relative à la protection des

personnes à l’égard du traitement des données à caractère personnel invoqué

par le prévenu, il prévoit que la personne concernée peut avoir accès aux

données la concernant et doit à cet effet présenter une demande auprès du

responsable du traitement. Il apparaît dès lors que le prévenu, qui n’est pas le

responsable du traitement des données contenues dans les fichiers mis en

œuvre par le Centre Informatique de l’Etat, ainsi qu’il sera développé ci-

dessous, n’a aucune qualité pour communiquer une quelconque information

sur base du prédit texte de loi.

Concernant les fichiers policiers que B’.) a, sur demande d’X.), transféré sur sa

clé USB avant de les recopier sur l’ordinateur du prévenu, force est de

constater qu’il ne résulte d’aucun élément du dossier que B’.) aurait consulté

ces documents, c’est-à-dire qu’il en aurait pris connaissance. Or le délit prévu à

l’article 458 du code pénal présuppose que l’information soumise au secret

professionnel a été révélée et il faut que la révélation soit effective.

L’infraction à l’article 458 du code pénal n’est dès lors pas établie pour autant

que les fichiers policiers transférés sur la clé USB de B’.) sont concernés et le

prévenu est à acquitter de la prévention mise à sa charge sub I.) (2.) de la

citation.

Quant aux infractions à la loi du 2 août 2002 relative à la protection des

personnes à l’égard du traitement des données à caractère personnel

Il est reproché au prévenu d’avoir, en tant que responsable du traitement,

contrevenu à l’article 4(3) de la loi du 2 août 2002 en effectuant un traitement

au mépris des principes de licéité et de loyauté tels que prévus à l’alinéa 1(a)

de l’article 4, de ne pas avoir respecté le principe de la légitimité de traitement

prévu à l’alinéa 1 de l’article 5 de la loi et il lui est reproché d’avoir enfreint

l’article 17 (3) de la loi en consultant à titre privé les fichiers étatiques auxquels

il avait accès de par sa profession et d’avoir continué les informations obtenues

à B’.).

X.) conteste que les consultations qu’il a effectuées des fichiers exploités par le

Centre Informatique de l’Etat aient eu un caractère privé. Il soutient avoir agi

dans le cadre de sa mission de police administrative ou judiciaire. Il conteste

encore que la loi de 2002 lui soit applicable, les infractions mises à sa charge

ne visant que le responsable du traitement, qualité qu’il n’aurait pas concernant

les fichiers consultés dont le responsable serait l’Etat. Enfin concernant l’article

17 de la loi, X.) fait plaider qu’il serait en tant que policier soumis au seul

contrôle de l’autorité spécifique instituée par le prédit article et qu’il ne serait

pas passible des sanctions pénales y prévues.

La Cour approuve tout d’abord les juges de première instance d’avoir retenu

que le prévenu, en procédant à des recherches dans les différents fichiers de

l’Etat au sujet de B’.), J.), F.) et I.), de sa propre initiative ou à la demande de

ses amis ou connaissances, sans qu’il ne soit chargé d’aucune vérification, ni

enquête relative à ces personnes dans le cadre de l’exercice de ses fonctions

de police administrative ou judiciaire, a effectué des consultations purement

privées.

Le responsable du traitement de données à caractère personnel est, sauf

désignation expresse par les dispositions législatives ou règlementaires

relatives à ce traitement, la personne, l’autorité publique, le service ou

l’organisme qui détermine les finalités du traitement et les moyens pour y

parvenir. Il s’agit de celui qui prend l’initiative et qui dispose du pouvoir

décisionnel en relation avec le traitement.

En l’espèce, le responsable du traitement des données est l’Etat et plus

particulièrement le Centre Informatique de l’Etat qui a établi les différents

fichiers consultés par le prévenu.

La Cour approuve les juges de première instance d’avoir dit que la loi de 2002

a vocation à s’appliquer en l’espèce aux agissements du prévenu puisqu’elle a

un champ d’application très large, qu’elle concerne toutes les personnes

physiques, les personnes morales et l’Etat qui effectuent un traitement de

données à caractère personnel, une consultation rentrant par ailleurs dans la

définition dudit traitement de données à caractère personnel conformément aux

dispositions de l’article 2 (s) de la loi. Les articles 4, 5 et 17 de la loi prennent

d’ailleurs soin de stipuler que quiconque effectue un traitement de données en

violation desdits articles encourt les sanctions pénales y prévues.

L’article 4 (1) de la loi prévoit qu’un traitement de données doit être loyal et

licite, c’est-à-dire qu’il doit avoir des finalités précises, déterminées, explicites

et légitimes et le traitement doit être compatible avec ces finalités. La finalité

est le but que recherche le responsable et qui justifie la mise en œuvre du

traitement. Pour être loyal et licite au sens de l’article 4 de la loi, tout traitement

de données personnelles doit avoir des finalités précises et transparentes qui

doivent être communiquées et être légitimes. Il est considéré qu’une finalité

d’un traitement est légitime si elle est nécessaire à l’activité normale du

responsable ou à l’exécution de la mission d’intérêt public ou relevant de

l’autorité publique dont il est investi.

La Cour considère, ensemble avec les juges de première instance, que le

prévenu, en effectuant des recherches à titre privé dans des fichiers auxquels il

avait accès dans le cadre de l’exercice de ses fonctions, a agi à des fins

étrangères à son activité et à l’exécution de la mission d’intérêt public dont il

était chargé en tant que policier et a de la sorte enfreint l’article 4(1) de la loi, la

prévention mise à sa charge sub II.) 1.) étant dès lors établie à sa charge.

L’article 5 de la loi pose le principe selon lequel un traitement de données

personnelles ne peut avoir lieu que s’il est légitime et énumère un certain

nombre d’hypothèses dans lesquelles cette condition de légitimité est remplie.

Les juges de première instance ont encore à bon escient retenu que les

traitements effectués par X.) ne rentrent dans aucune des conditions

énumérées à l’article 5, à l’exclusion des consultations pour lesquelles les

personnes concernées avaient donné leur consentement, hypothèse dans

laquelle le traitement est légitime aux termes de l’article 5(f), de sorte que le

jugement entrepris est encore à confirmer pour avoir retenu la prévention

libellée sub II.) 2.) à charge du prévenu.

X.) a encore, à bon droit, été déclaré convaincu de l’infraction à l’article 17 de la

loi mise à sa charge sub II.) 3.) de la citation pour avoir, à titre privé, fait un

traitement en violation du prédit article.

L’article 17 de la loi prévoit en effet que certains traitements de données

personnelles doivent être autorisés par voie réglementaire. Il s’agit de

traitements qui sont par nature réservés aux autorités et sont susceptibles de

présenter des risques particuliers au regard des droits et libertés des

personnes concernées, et en particulier des libertés publiques. Parmi ces

traitements figurent ceux relatifs à la prévention, à la recherche et à la

constatation des infractions pénales et qui sont réservés, entre autres, aux

forces de l’ordre.

Au regard du caractère sensible des données visées à cet article, le contrôle et

la surveillance des traitements de celles-ci sont opérés par une autorité ad hoc

composée du Procureur Général d’Etat ou de son délégué, qui la préside et de

deux membres de la Commission nationale.

X.) fait plaider qu’il serait en tant que policier soumis au seul contrôle de la

prédite autorité et qu’il ne serait pas passible des sanctions pénales édictées à

l’ainéa 3 dudit article 17.

Il est vrai que la surveillance des forces de l’ordre est assurée par l’autorité de

contrôle et que les activités des agents relèvent du contrôle interne, mais il en

est ainsi dans la mesure où les agents agissent dans le cadre de leurs

fonctions. La sanction pénale prévue à l’alinéa 2 de l’article 17 vise l’utilisation

non-réglementaire de données et est dès lors limitée aux personnes agissant à

titre particulier, tel en l’espèce le prévenu.

Quant à l’infraction aux articles 509-1 et 509-3 du code pénal

Le parquet reproche encore au prévenu d’avoir, en infraction à l’article 509-1

du code pénal, frauduleusement accédé aux fichiers du Centre Informatique de

l’Etat énumérés dans la citation.

X.) conteste avoir contrevenu à l’article 509-1 du code pénal au motif qu’en sa

qualité de policier il avait un accès autorisé aux bases de données consultées.

En outre son ordinateur de service ne serait pas à considérer comme un

système de traitement ou de transmission automatisé de données et le

système d’exploitation Windows XP supprimé ne constituerait pas une donnée

au sens de la loi. Par ailleurs le système Windows XP ayant été remplacé par

le système Windows Vista plus performant aucun préjudice aux droits d’autrui

ne serait résulté de cette manipulation.

X.) conclut à son acquittement au motif qu’il avait un accès direct aux bases de

données concernées au moyen de son mot de passe qu’il détient légitimement.

Il est d’avis que cet article entend réprimer les intrusions faites avec des

moyens techniques frauduleux et ne s’applique pas au cas d’un accès légitime,

même s’il est suivi d’un traitement qui n’est pas conforme à celui qui est

autorisé par l’accès.

Aux termes de l’article 509-1 du code pénal « Quiconque, frauduleusement,

aura accédé ou se sera maintenu dans tout ou partie d’un système de

traitement ou de transmission automatisé de données sera puni d’un

emprisonnement de deux mois à deux ans et d’une amende de 500 euros à

25.000 euros ou de l’une de ces deux peines. »

La loi ne donne pas de définition de la notion de système de traitement

automatisé de données. La décision-cadre du 24 février 2005 relative aux

attaques visant les systèmes d’information définit le « système d’information »

comme étant « tout dispositif isolé ou groupe de dispositifs interconnectés ou

apparentés, qui assure ou dont un ou plusieurs éléments assurent,

conformément à un programme, un traitement automatisé de données

informatiques, ainsi que les données informatiques stockées, traitées,

récupérées ou transmises par ces derniers en vue de leur fonctionnement,

utilisation, protection et maintenance ». Il faut donc au moins un ordinateur

capable de recevoir, stocker et transmettre des données. En ce sens, peuvent

constituer des systèmes de traitement automatisé de données, tout ordinateur,

qu’il soit connecté ou non à un réseau ( La fraude informatique en droit

luxembourgeois, Stephan LE GOUEFF, no. 11.2).

Le délit de l’article 509-1 du code pénal réprime non seulement l’accès

frauduleux à un système de traitement ou de transmission automatisé de

données, mais également le maintien dans le système. L’un ou l’autre suffit à

caractériser l’élément matériel du délit. Le fait d’accéder de manière autorisée à

un serveur ou à un réseau n’implique pas que le maintien dans le système soit

forcément régulier. Il est admis que le fait pour un employé, autorisé à accéder

de manière inconditionnelle au réseau pour exécuter des tâches relevant de

son activité, de se maintenir dans le réseau pour exécuter des opérations non

autorisées rend le maintien frauduleux ( Internet et les nouvelles technologies

de la communication face au droit luxembourgeois, Thierry REISCH, p. 389)

En l’espèce X.), autorisé à accéder aux bases de données consultées au

moyen de son mot de passe pour exécuter des tâches relevant de ses

missions de police administrative ou judiciaire, s’est maintenu dans lesdits

fichiers pour y effectuer des recherches excédant le cadre professionnel, des

recherches purement personnelles. En agissant de la sorte, le prévenu s’est

maintenu frauduleusement dans un des éléments d’un système de données au

sens de l’article 509-1 du code pénal.

Les juges de première instance ont partant à bon droit retenu l’infraction sub

III.) à charge de X.), sauf qu’il y a lieu de préciser dans le libellé de l’infraction

retenue qu’il est convaincu de s’être frauduleusement maintenu dans les

fichiers exploités par le Centre Informatique de l’Etat.

X.) est encore prévenu d’avoir, en infraction à l’article 509-3 du code pénal,

intentionnellement et au mépris des droits d’autrui, directement supprimé le

système de traitement Windows XP installé sur son ordinateur de service et de

l’avoir remplacé par le système de traitement Windows Vista.

Le prévenu conteste que la suppression sur son ordinateur de service du

système d’exploitation Windows XP rentre dans les prévisions de l’article 509-3

du code pénal et il conteste avoir agi au mépris des droits d’autrui.

L’article

509-3

du

code

pénal

dispose

que

« Quiconque

aura,

intentionnellement et au mépris des droits d’autrui, directement ou

indirectement, introduit des données dans un système de traitement ou de

transmission automatisé ou supprimé ou modifié les données qu’il contient ou

leurs modes de traitement ou de transmission, sera puni d’un emprisonnement

de trois mois à trois ans et d’une amende de 1.250 euros à 12.500 euros ou de

l’une de ces deux peines. »

Est ainsi sanctionnée toute altération volontaire des données d’un système de

traitement ou de transmission automatisé ou de leur mode de traitement ou de

transmission. Il faut donc une action sur les données.

En l’espèce force est de constater que la suppression du système d’exploitation

Windows XP n’a pas eu pour effet une altération, voire une suppression de

données informatiques. En effet les données contenues dans l’ordinateur de

service du prévenu, c’est-à-dire les fichiers tant privés que professionnels qu’il

contenait ont été copiés sur la clé USB de B’.) pour ensuite être recopiés sur

l’ordinateur du prévenu après que le système de traitement Windows Vista y

avait été installé. La manipulation ainsi effectuée n’a causé aucun dommage

aux données contenues dans les documents qui sont restés intacts. Or la copie

des données contenues dans le système est exclue du champ d’application de

l’article 509-3 du code pénal ( Enc. Dalloz, vo. Fraude informatique, no. 205).

Le prévenu est dès lors à acquitter de la prévention libellée à sa charge sub

IV.) qui n’est pas établie ni en droit, ni en fait.

Quant à l’infraction à la loi du 15 mars 1983 sur les armes et munitions

La Cour approuve les juges de première instance d’avoir retenu le prévenu

dans les liens de cette infraction qui est dûment établie à sa charge tant en

droit qu’en fait.

Quant à la peine

Les concours d’infractions ont été correctement énoncés et appliqués.

Tout en reconnaissant la gravité indéniable des infractions commises par le

prévenu qui méritent une sanction sévère, la Cour est d’avis qu’une peine

d’emprisonnement de douze mois constitue une sanction appropriée en

l’espèce, la peine d’emprisonnement étant à assortir du sursis intégral à son

exécution, le prévenu n’ayant pas d’antécédents judiciaires.

L’amende de 1.500 euros est à maintenir.

Les confiscations et restitutions ont été ordonnées à bon escient et sont à

confirmer.

P A R C E S M O T I F S,

la Cour d’appel, dixième chambre, siégeant en matière correctionnelle, statuant

contradictoirement, le prévenu X.) entendu en ses moyens de défense et

conclusions et le représentant du ministère public en son réquisitoire,

reçoit les appels en la forme ;

dit l’appel du prévenu fondé ;

réformant,

acquitte le prévenu de la prévention mise à sa charge sub I.(2.);

modifie le libellé de la prévention retenue à charge du prévenu sub III.) ainsi

que spécifié aux motifs du présent arrêt ;

acquitte le prévenu de la prévention libellée à sa charge sub IV.);

ramène la peine d’emprisonnement prononcée en première instance à douze

(12) mois ;

dit

qu’il

sera

sursis

à

l’exécution

de

l’intégralité

de

cette

peine

d’emprisonnement ;

maintient l’amende de 1.500 euros ;

confirme le jugement entrepris pour le surplus ;

condamne le prévenu aux frais de sa poursuite pénale en instance d’appel, ces

frais liquidés à 16,90 €.

Par application des textes de loi cités par la juridiction de première instance en

retranchant l’article 509-3 du code pénal et en ajoutant les articles 202, 203,

211 du code d’instruction criminelle.

Ainsi fait, jugé et prononcé en audience publique par la Cour d'appel du Grand-

Duché de Luxembourg, dixième chambre, siégeant en matière correctionnelle,

à Luxembourg, Cité Judiciaire, Plateau du St. Esprit, où étaient présents:

Jean-Claude WIWINIUS, président de chambre

Joséane SCHROEDER, premier conseiller

Christiane RECKINGER, conseiller

Marie-Jeanne KAPPWEILER, avocat général

Marc SERRES, greffier

qui, à l'exception du représentant du ministère public, ont signé le présent arrêt.